Noch ist die Frage ungeklärt. Der Kongress in Washington untersuchte sie in einer Anhörung am 9. Juli 2008. Eine rechtliche Begutachtung wurde vom Center for Democracy & Technology vorgelegt. Es folgert, dass der vom ISP gewährte Zugriff auf Verbindungsdaten der Kunden das Abhörverbot verletzt. NebuAd gelangt mit einem eigenen Gutachten zur Erkenntnis, dass Kunden durch Opt-Out und deutliche Hinweise rechtlich hinreichend geschützt sind.
Das Competitive Enterprise Institute verwandte sich im Kongress gegen eine Einmischung des Gesetzgebers und befürwortete einen vom Wettbewerb getragenen Ansatz. Als Einführung zum Vergleich der Behandlung von Datensicherheit und Schutz der Privatsphäre in Deutschland und den USA empfiehlt sich das neue Buch von Christian Schröder, der Washington aus Ausbildung und Praxis kennt, Die Haftung für Verstöße gegen Privacy Policies und Codes of Conduct nach US-amerikanischem und deutschem Recht, aus dem Nomos Verlag.